Eine Mitarbeiterin in der Administration führt das Bearbeitungsverzeichnis in Excel, die IT dokumentiert technische Massnahmen in einem separaten Ordner, HR verwaltet Vorlagen für Auskunftsbegehren. Solange die verantwortlichen Personen im Unternehmen sind und alles überschaubar bleibt, kann das funktionieren. Doch bei einer Kundenanfrage, einem Audit oder einer neuen Software zeigt sich oft, warum die Frage «Excel oder Datenschutz-Tool?» mehr als eine Formatfrage ist.
Entscheidend ist nicht, ob eine Tabelle erlaubt oder ein Tool zwingend nötig ist. Das Datenschutzgesetz schreibt kein Format vor, weder für das Bearbeitungsverzeichnis nach Art. 12 DSG noch für die Dokumentation der Sicherheitsmassnahmen nach Art. 8 DSG. Entscheidend ist, ob Ihr Unternehmen seine Datenschutzaufgaben nachvollziehbar, aktuell und im Arbeitsalltag beherrschbar organisiert. Wie das konkret aussieht, hängt von Grösse, Datenbearbeitungen, Risiken und internationalen Bezügen ab.
Die eigentliche Entscheidung
Excel ist ein vielseitiges Arbeitsmittel. Für eine erste Bestandsaufnahme kann eine sauber geführte Tabelle sehr hilfreich sein: Welche Personendaten werden bearbeitet? Zu welchem Zweck? Welche Systeme und Dienstleister sind beteiligt? Wer ist intern verantwortlich? Gerade kleinere Unternehmen schaffen so rasch Transparenz.
Die Grenzen entstehen nicht wegen Excel selbst, sondern wegen der Prozesse rundherum. Eine Tabelle weiss nicht, dass ein neuer Cloud-Dienst eingeführt wurde. Sie erinnert niemanden an offene Prüfungen, verknüpft keine Datenschutz-Folgenabschätzung mit der betreffenden Bearbeitung und zeigt nicht, welche Dokumente nach einer Änderung ebenfalls anzupassen sind.
Ein Datenschutz-Tool strukturiert diese Zusammenhänge. Es führt Informationen an einem Ort zusammen, ordnet Zuständigkeiten zu und macht Abhängigkeiten sichtbar. Das reduziert den manuellen Koordinationsaufwand. Allerdings ersetzt Software weder klare Verantwortlichkeiten noch die fachliche Beurteilung. Ein unvollständig gepflegtes Tool ist nicht besser als eine gut geführte Tabelle.
Wann Excel für Datenschutzaufgaben genügen kann
Excel kann eine pragmatische Lösung sein, wenn die Datenbearbeitungen überschaubar sind, nur wenige Personen an der Dokumentation arbeiten und Änderungen selten vorkommen. Das trifft etwa auf eine Schreinerei mit zwölf Angestellten zu, die Kundendaten, Lieferantendaten und Personaldossiers in drei bekannten Systemen bearbeitet. Solche Betriebe mit weniger als 250 Mitarbeitenden sind nach Art. 12 Abs. 5 DSG und Art. 24 DSV ohnehin vom Bearbeitungsverzeichnis befreit, sofern sie keine besonders schützenswerten Personendaten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko betreiben. Ein freiwillig geführtes Verzeichnis in Excel ist dann ein gutes Arbeitsinstrument, keine Pflichtübung.
Damit Excel tragfähig bleibt, braucht es eine verbindliche Arbeitsweise. Eine Person oder Rolle ist für die Pflege zuständig. Änderungen bei Software, Dienstleistern, Formularen oder Prozessen haben einen festen Auslöser für die Aktualisierung. Ebenso wichtig ist eine nachvollziehbare Ablage: Welche Version gilt, wo liegen die Auftragsbearbeitungsvereinbarungen, wie werden Freigaben dokumentiert?
Eine Tabellenlösung stösst an Grenzen, wenn mehrere Abteilungen beteiligt sind. Dann kursieren verschiedene Dateiversionen, Anpassungen sind schwer nachzuverfolgen, und Wissen bleibt bei einzelnen Mitarbeitenden hängen. Kritisch wird das, wenn das Unternehmen sensible Personendaten bearbeitet oder neue digitale Prozesse rasch einführt.
Diese Signale sprechen für ein Datenschutz-Tool
Nicht jedes KMU braucht sofort eine umfassende Plattform. Es gibt aber typische Situationen, in denen ein Tool deutlich mehr Nutzen bringt als die Weiterentwicklung einzelner Excel-Dateien:
- Mehrere Fachbereiche bearbeiten Personendaten und müssen ihre Prozesse selbst aktualisieren.
- Das Bearbeitungsverzeichnis umfasst zahlreiche Anwendungen, Dienstleister oder Datenkategorien.
- Das Unternehmen bearbeitet besonders schützenswerte Personendaten, etwa im Gesundheits-, Sozial- oder HR-Umfeld, und ist damit auch unter 250 Mitarbeitenden zum Verzeichnis verpflichtet.
- Kunden, Partner oder Konzernvorgaben verlangen nachvollziehbare Datenschutzdokumentation, etwa in Ausschreibungen oder Lieferantenaudits.
- Es bestehen Berührungspunkte zur DSGVO, deren Art. 30 das Verzeichnis ohne Schweizer KMU-Ausnahme verlangt.
- Datenschutzanfragen, Prüfungen und Freigaben sollen fristgerecht und mit klaren Zuständigkeiten bearbeitet werden.
In diesen Fällen geht es nicht primär um mehr Dokumente, sondern um Steuerbarkeit. Ein gutes Tool verbindet Bearbeitungsverzeichnis, technische und organisatorische Massnahmen, Auftragsbearbeitungen, Datenschutz-Folgenabschätzungen und Anfragen betroffener Personen. So wird aus einer Sammlung von Dateien ein geführter Prozess.
Der Mehrwert liegt in der Verknüpfung
Nehmen wir eine typische Änderung: Ein Treuhandbüro führt für die Mandatsverwaltung eine neue Branchensoftware ein. Mit Excel muss jemand daran denken, die neue Datenbearbeitung im Verzeichnis zu erfassen, den Anbieter zu prüfen, den Vertrag abzulegen, Zugriffsrechte zu klären, Löschfristen festzuhalten und gegebenenfalls die Datenschutzerklärung anzupassen.
Ein Datenschutz-Tool nimmt diese Entscheidungen nicht ab. Es kann die Schritte aber strukturiert abbilden, Aufgaben zuweisen und fehlende Angaben sichtbar machen. Das ist besonders wertvoll, wenn Administration, IT, Fachbereiche und Geschäftsleitung zusammenarbeiten und nicht alle täglich Datenschutzfragen bearbeiten.
Was ein praxistaugliches Tool leisten sollte
Bei der Auswahl lohnt sich ein Blick auf die täglichen Arbeitsabläufe statt nur auf eine lange Funktionsliste. Die Software sollte so verständlich sein, dass Fachverantwortliche ihre Angaben mit vertretbarem Aufwand erfassen und aktualisieren können. Komplizierte Masken führen dazu, dass alles wieder bei einer einzigen Person landet.
Achten Sie darauf, ob die zentralen Aufgaben in einer gemeinsamen Struktur geführt werden. Dazu gehören mindestens das Bearbeitungsverzeichnis, die Dokumentation der TOMs, die Verwaltung von Auftragsbearbeitungen sowie Vorlagen und Workflows für Anfragen betroffener Personen. Für risikoreichere Bearbeitungen sollte auch die DSFA-Dokumentation nachvollziehbar abgelegt werden können. Welche Auswahlkriterien für Datenschutz-Software darüber hinaus zählen, haben wir in einem eigenen Beitrag zusammengestellt.
Ebenso relevant sind Rollen und Berechtigungen. Die HR-Leitung braucht nicht Einblick in alle IT-Dokumente, während die IT ihre Schutzmassnahmen zuverlässig nachführen muss. Für Schweizer Unternehmen ist zudem entscheidend, dass die Lösung das DSG praxisnah abbildet und bei EU-Bezug die wesentlichen DSGVO-Pflichten mitführt. Standardisierte Vorlagen beschleunigen den Einstieg, müssen aber zum eigenen Unternehmen passen.
Der häufigste Fehler: Software vor der Standortbestimmung
Viele Unternehmen starten mit der Tool-Auswahl, bevor sie ihre Datenbearbeitungen überhaupt erfasst haben. Dann wird die Plattform zum digitalen Ablageort für unvollständige Informationen. Die bessere Reihenfolge beginnt mit einer kompakten Standortbestimmung: Welche Datenbearbeitungen gibt es, welche Systeme werden genutzt, welche externen Stellen sind eingebunden, wo bestehen die grössten Lücken?
Danach lässt sich entscheiden, welche Prozesse zuerst strukturiert werden. Für eine Arztpraxis stehen Patientendossier, Terminverwaltung und Abrechnung im Vordergrund. Bei einem IT-Dienstleister sind es Kundenzugänge, Ticketsystem und die eigene Rolle als Auftragsbearbeiter. Die passende Dokumentation folgt den tatsächlichen Abläufen, nicht einer abstrakten Musterstruktur.
Erst wenn diese Grundlagen klar sind, kann ein Tool sinnvoll eingerichtet werden. Zuständigkeiten, Aktualisierungsrhythmus und interne Freigaben sollten von Anfang an definiert sein. Ein jährlicher Review reicht nicht, wenn laufend neue Anwendungen, Dienstleister oder Prozesse hinzukommen. Datenschutz muss deshalb Teil von Beschaffungs-, Projekt- und Änderungsprozessen werden, wie es ein Datenschutz-Management-System vorsieht.
Excel und Tool lassen sich auch kombinieren
Die Entscheidung ist nicht immer entweder oder. Excel kann weiterhin für operative Hilfslisten, Auswertungen oder eine erste Datensammlung dienen. Das Datenschutz-Tool übernimmt die führende Dokumentation und die Prozesse, die nachvollziehbar, versioniert und abteilungsübergreifend gesteuert werden müssen.
Diese Kombination ist oft sinnvoll bei wachsenden KMU: Sie vermeiden einen grossen Einführungsaufwand, schaffen aber dort Verbindlichkeit, wo Fehler oder Informationsverluste besonders wahrscheinlich sind. Wichtig ist nur, dass klar definiert wird, welches System für welche Information führend ist. Zwei parallele Bearbeitungsverzeichnisse schaffen keine Sicherheit, sondern neue Abstimmungsarbeit.
Mit DSMS+ bietet datenschutzkonform.ch eine auf Schweizer Unternehmen ausgerichtete Datenschutzmanagement-Lösung, die diese Aufgaben in einer gemeinsamen Struktur unterstützt. Besonders wirksam wird eine solche Lösung, wenn sie mit einer Standortbestimmung, klaren internen Verantwortlichkeiten und einer praxisnahen Einführung verbunden wird.
Wo verlieren Sie heute den Überblick?
Prüfen Sie nicht zuerst, ob Ihre Excel-Datei optisch sauber aufgebaut ist. Fragen Sie stattdessen: Wissen wir bei einer neuen Software sofort, welche Datenschutzschritte nötig sind? Finden wir die gültige Dokumentation ohne Rückfragen? Können Fachbereiche ihre Angaben selbst pflegen? Erkennen wir offene Aufgaben, bevor sie bei einer Kundenanfrage oder internen Prüfung auffallen?
Wo diese Fragen noch nicht zuverlässig beantwortet werden können, lohnt sich ein strukturierter Privacy-Check. Er zeigt, ob eine bessere Excel-Organisation ausreicht oder ob ein Datenschutz-Tool der nachhaltigere nächste Schritt ist. Datenschutz wird dann nicht zum zusätzlichen Papierprozess, sondern zu einem festen, handhabbaren Teil Ihrer Unternehmensabläufe.
Häufige Fragen
Darf das Bearbeitungsverzeichnis in Excel geführt werden?
Ja. Art. 12 DSG schreibt den Inhalt vor, nicht das Format. Eine Tabelle ist zulässig, solange sie die Pflichtangaben enthält (Verantwortlicher, Zweck, Datenkategorien, Empfänger, Aufbewahrungsdauer, Sicherheitsmassnahmen, Auslandbekanntgaben) und aktuell gehalten wird. Bei einer Prüfung durch den EDÖB zählt der Inhalt, nicht das Werkzeug.
Welche Unternehmen sind vom Bearbeitungsverzeichnis befreit?
Unternehmen mit weniger als 250 Mitarbeitenden, deren Datenbearbeitung ein geringes Risiko mit sich bringt (Art. 12 Abs. 5 DSG, Art. 24 DSV). Die Ausnahme entfällt, wenn in grossem Umfang besonders schützenswerte Personendaten bearbeitet werden oder Profiling mit hohem Risiko stattfindet. Unter der DSGVO gilt diese Schweizer Ausnahme nicht.
Ab wann lohnt sich ein Datenschutz-Tool für ein KMU?
Sobald mehrere Abteilungen die Dokumentation gemeinsam pflegen müssen, Fristen für Anfragen oder Prüfungen zu überwachen sind oder Kunden regelmässig Nachweise verlangen. Ein weiteres Signal ist, wenn bei jeder neuen Software unklar ist, welche Datenschutzschritte anfallen. Bei drei Systemen und einer zuständigen Person reicht eine gut geführte Tabelle.
Kann Excel parallel zum Tool weiterverwendet werden?
Ja, für operative Hilfslisten und Auswertungen. Wichtig ist, dass klar definiert ist, welches System für welche Information führend ist. Zwei parallel gepflegte Bearbeitungsverzeichnisse führen zu Widersprüchen und schaffen bei einem Audit mehr Fragen als Antworten.